西班牙PISP（支付发起服务提供商）牌照与合规

PISP（Payment Initiation Service Provider，即支付发起服务提供商）是受 PSD2 指令（第2015/2366号欧盟指令）监管的一类支付服务提供商。经用户明确同意，第三方可从用户的银行账户发起支付，用户无需直接登录银行。

PISP 是付款用户与开户银行之间的中介：它通过银行必须依据 PSD2 开放银行（Open Banking）框架向第三方开放的访问接口（API）发起支付指令。

PISP 是欧洲金融科技生态中的关键角色，推动了即时支付、无卡结账、B2B 支付方案，以及基于支付数据访问的新商业模式。

PISP（支付发起服务提供商）从用户账户发起支付指令；AISP（Account Information Service Provider，账户信息服务提供商）则只访问用户账户信息，用于汇总、分析或展示数据，不执行支付。

两者都受 PSD2 监管，都须向主管监管机构取得授权或登记，但义务不同：PISP 执行涉及资金流动的交易，在安全和认证方面承担更大责任；AISP 则处于只读环境。

如果业务模式同时包含支付发起和账户汇总，同一机构可以同时获得 PISP 与 AISP 双重资质，这在完整的开放银行方案中很常见。

在西班牙，PISP 授权由西班牙银行颁发。根据关于电子货币的第21/2011号法律和关于支付服务的第19/2018号皇家法令-法（Real Decreto-ley），西班牙银行是监管支付机构的主管机构。

PISP 牌照所需文件：

• 活动计划，详细说明拟提供的支付发起服务。
• 含三年财务预测的商业计划。
• 组织架构和公司治理说明。
• 信息安全政策和运营风险管理计划。
• 重大事件管理程序，以及向西班牙银行通报的程序。
• 内部控制与审计机制，以及反洗钱与反恐怖融资政策。

自提交完整申请文件起，授权程序通常需要三到六个月，具体取决于业务模式的复杂程度和所提交文件的质量。

在 PSD2 下，强客户认证（SCA）是对 PISP 要求最严格的条件之一。发起支付之前，PISP 必须确保用户已由其银行通过三类因素中至少两类完成认证：用户知道的（PIN、密码）、用户持有的（手机、银行卡）和用户本身的特征（生物识别）。

PISP 不保存用户的网银登录凭证：它使用 SCA 流程中生成的认证令牌（token）访问银行接口（生产环境 API），既保障交易安全，又不会泄露用户的凭证。

正确执行 SCA，是 PISP 在面对未经授权支付交易的索赔时免除责任的关键。

PISP 属于西班牙第10/2010号反洗钱与反恐怖融资法律规定的反洗钱义务主体，须承担一系列适合支付发起业务模式的具体义务。

最主要的义务包括：识别并核实客户身份（KYC）；付款人为法人时识别最终受益人；持续监测所发起的交易以发现异常模式；以及向 SEPBLAC 报告可疑交易。

PISP 的反洗钱体系应与其在支付链中的位置相适应：PISP 虽然不持有客户资金，但能接触到有价值的交易信息，必须以严谨和保密的方式管理这些信息。

欧盟委员会于2023年6月发布了 PSD3 和新的支付服务条例（PSR）提案，将给 PISP 带来重要变化：强化对银行接口的访问权，完善欺诈责任框架，增加对用户的信息披露义务，并提高互操作性要求。

PSD3 还扩大了开放银行的适用范围，增强 PISP 相对于银行的竞争地位，银行须提供质量更高、可用性保障更好的接口。

已在 PSD2 下以 PISP 身份经营的机构，待 PSD3 转化为西班牙国内法后，须审查其监管文件和技术系统，以满足新的要求。

在西班牙取得 PISP 授权，自向西班牙银行提交完整申请文件起，通常需要三到六个月；如果监管机构要求补充文件或对业务模式作出说明，时间可能延长。

申请 PISP 牌照的法律咨询费用，取决于业务模式的复杂程度、所申请支付服务的数量，以及机构事先的准备程度。此外还有西班牙银行的监管规费，以及落实所要求的安全系统的技术实施成本。

从流程一开始就获得专业咨询，可以显著降低西班牙银行提出补充要求的风险，并缩短取得 PISP 牌照的时间。